ViciousTrap يستغل ثغرة في أجهزة Cisco لإنشاء شبكة خداع عالمية تضم 5,300 جهاز مخترق

تفاصيل الهجوم

• استغلال ثغرة أمنية حرجة في موجهات Cisco للأعمال الصغيرة (RV016, RV042, RV320 وغيرها – CVE-2023-20118).

• تركيز الاختراقات في ماكاو (850 جهازًا)، تليها دول أخرى.

• تنفيذ سكريبت خبيث يُدعى NetGhost لإعادة توجيه حركة المرور إلى بنية تحتية يتحكم فيها المهاجمون.

كيفية عمل الهجوم

1. الاستغلال الأولي: تنزيل وتنفيذ سكريبت Bash عبر ثغرة Cisco.

2. التواصل مع خادم خارجي: جلب ملف wget لتحميل سكريبت ثانٍ.

3. التنفيذ النهائي: تشغيل NetGhost لإعادة توجيه حركة المرور ومسح الآثار.

أهداف المهاجمين

• مراقبة محاولات الاستغلال عبر أجهزة متعددة.

• جمع ثغرات غير معلنة (Zero-Day) لاستخدامها لاحقًا.

• اعتراض اتصالات الشبكة (هجمات Adversary-in-the-Middle).

ملاحظات مهمة

• جميع محاولات الاستغلال صدرت من عنوان IP واحد في ماليزيا (101.99.91[.]151).

• تم رصد نشاط يعود إلى مارس 2025، مع استخدام أدوات مشابهة لـبوتنت PolarEdge.

• يشتبه في أن الجهة خلف الهجوم ناطقة بالصينية بسبب ارتباطات مع بنى تحتية مثل GobRAT.